Membaca Rekod Peristiwa CloudTrail

Peristiwa CloudTrail ialah rekod JSON dengan set medan yang konsisten. Mempelajari cara membacanya membolehkan anda membina semula dengan tepat perkara yang berlaku semasa penyiasatan.

Setiap rekod menerangkan satu panggilan API: siapa yang membuatnya, perkara yang dilakukan, masa dan tempat ia dilakukan serta hasilnya.

Medan yang paling penting untuk keselamatan ialah userIdentity. Medan ini menerangkan prinsipal yang membuat panggilan — jenisnya (IAMUser, AssumedRole, Root, AWSService), akaun dan ARN (Nama Sumber Amazon).

Dengan cara inilah anda boleh mengaitkan sesuatu tindakan dengan yakin kepada orang, peranan atau perkhidmatan tertentu.

eventName ialah tindakan API yang dipanggil, seperti DeleteBucket atau RunInstances, manakala eventSource ialah perkhidmatan yang berkaitan dengannya, seperti s3.amazonaws.com.

Kesemuanya memberitahu anda dengan tepat operasi yang berlaku, iaitu perkara utama untuk memahami mana-mana peristiwa.

Cap masa eventTime (dalam UTC), awsRegion dan sourceIPAddress menentukan masa dan lokasi panggilan tersebut.

Panggilan daripada rantau yang tidak dijangka atau IP yang tidak dikenali ialah tanda amaran biasa. Medan ejen pengguna turut menunjukkan cara panggilan dibuat — konsol, CLI atau SDK.

requestParameters menunjukkan input kepada panggilan — baldi, tika atau dasar yang terlibat — manakala responseElements menunjukkan perkara yang dipulangkan oleh AWS, seperti ID sumber yang baru dicipta.

Medan ini membolehkan anda melihat dengan tepat perkara yang diubah dan hasilnya, bukan sekadar mengetahui bahawa sesuatu telah berlaku.

Jika panggilan ditolak, rekod tersebut menyertakan errorCode dan errorMessage, seperti AccessDenied.

Rentetan panggilan yang ditolak daripada satu prinsipal sering bermaksud penyerang sedang menguji perkara yang boleh dilakukan dengan bukti kelayakan yang dicuri. Peristiwa yang gagal sama bernilai untuk penyiasatan seperti peristiwa yang berjaya.

Apabila akses berlaku melalui peranan yang diandaikan, ikuti rantaian tersebut. userIdentity mungkin menunjukkan sesi peranan yang diandaikan, manakala sessionContext mendedahkan prinsipal asas yang mengandaikannya.

Menjejaki rantaian ini menjawab persoalan siapa yang akhirnya melakukan sesuatu tindakan, walaupun terdapat beberapa peralihan peranan.

Medan seperti readOnly dan managementEvent menunjukkan sifat panggilan dengan sekali imbas — sama ada panggilan itu mengubah apa-apa dan sama ada ia merupakan operasi satah kawalan.

Medan ini membantu Anda menapis dengan pantas peristiwa yang mengubah persekitaran Anda ketika meneliti rekod yang sangat banyak.

Membaca satu rekod secara manual tidak menjadi masalah; menapis jutaan rekod bukanlah pilihan yang baik. Hantar log ke CloudWatch Logs atau buat pertanyaan terhadap arkib S3 menggunakan Athena dengan SQL.

Anda boleh menapis berdasarkan userIdentity, eventName, sourceIPAddress atau errorCode untuk mengenal pasti dengan tepat panggilan yang penting dalam sesuatu penyiasatan.

Medan userAgent mendedahkan cara sesuatu panggilan dibuat — melalui konsol AWS, versi CLI tertentu, SDK atau alat automasi.

Ejen pengguna yang tidak dijangka boleh memberikan petunjuk tentang alat penyerang. Panggilan yang biasanya datang daripada konsol tetapi tiba-tiba datang melalui SDK mentah dari IP yang luar biasa ialah jenis anomali halus yang wajar diperiksa semula.

Untuk menjalankan penyiasatan, gabungkan medan: siapa (userIdentity) melakukan apa (eventName) terhadap sumber yang mana (requestParameters), bila (eventTime), dari mana (sourceIPAddress), dan dengan hasil apa (responseElements atau errorCode).

Gambaran lengkap yang diperoleh daripada satu rekod ini merupakan intipati forensik aktiviti API di AWS.

Peristiwa CloudTrail ialah rekod JSON yang medan utamanya memberikan jawapan bagi penyiasatan lengkap: userIdentity (siapa, dengan ARN dan rantaian peranan melalui sessionContext), eventName/eventSource (apa), eventTime/awsRegion/sourceIPAddress (bila dan di mana), serta requestParameters/responseElements atau errorCode (perubahan dan hasil). Peristiwa AccessDenied yang gagal ialah isyarat yang bernilai, dan Athena membolehkan Anda membuat pertanyaan terhadap rekod pada skala besar.